Najczęstsze oszustwa internetowe wymierzone w polskich użytkowników

Siedzimy w internecie niemal bez przerwy. Smartfon w kieszeni, laptop na biurku, tablet na kanapie – to nasza codzienność, w której czujemy się swobodnie, a czasem nawet zbyt pewnie. Ta pewność siebie bywa jednak zgubna, bo współcześni złodzieje nie potrzebują już kominiarki ani łomu. Wystarczy im dobrze skonstruowany SMS, fałszywa reklama na Facebooku czy krótka rozmowa telefoniczna, by w kilka minut wyczyścić nasze konto do zera. Statystyki są bezlitosne i pokazują, że cyberprzestępczość w Polsce nie jest już marginalnym problemem, ale prawdziwą plagą, która dotyka tysiące osób każdego miesiąca.

Według najnowszego raportu zespołu CERT Polska, działającego w strukturach NASK, rok 2023 był pod tym względem absolutnie rekordowy. Eksperci zarejestrowali wtedy 80 151 incydentów bezpieczeństwa, co oznaczało wzrost o równe 100% w stosunku do roku poprzedniego. Jeśli myśleliście, że to sufit, to dane za 2024 rok przynoszą jeszcze większy niepokój – liczba incydentów przekroczyła barierę 100 tysięcy, a liczba samych zgłoszeń od czujnych internautów wyniosła ponad 600 tysięcy. To pokazuje skalę zjawiska: każdego dnia tysiące Polaków stają się celem ataku. Warto więc wiedzieć, na co konkretnie polują przestępcy i jakie scenariusze piszą, by uśpić naszą czujność.

Król oszustw: Phishing i plaga fałszywych SMS-ów

Phishing od lat niezmiennie zajmuje pierwsze miejsce na podium najczęstszych zagrożeń. To metoda stara jak świat, ale wciąż przerażająco skuteczna. Polega na podszywaniu się pod znane instytucje – banki, firmy kurierskie, dostawców energii czy urzędy – w celu wyłudzenia danych do logowania lub informacji o karcie płatniczej. Z raportów wynika, że oszustwa komputerowe stanowią aż 95% wszystkich incydentów obsługiwanych przez krajowe służby cyberbezpieczeństwa.

Obecnie najgroźniejszą odmianą phishingu jest smishing, czyli ataki za pośrednictwem wiadomości SMS. Zapewne każdy z nas otrzymał kiedyś wiadomość o „nieopłaconej fakturze za prąd”, „paczce wstrzymanej z powodu braku numeru domu” czy „konieczności dopłaty 1,50 zł do przesyłki”. Przestępcy celowo operują małymi kwotami. Myślimy sobie: „To tylko złotówka, zapłacę i będę mieć spokój”. Klikamy w link, który prowadzi do strony łudząco podobnej do panelu płatności naszego banku. Tam wpisujemy login i hasło, a oszust w tym samym czasie loguje się na nasze prawdziwe konto i zleca przelew na wszystkie oszczędności.

W 2024 roku w Polsce zablokowano aż 1,5 miliona złośliwych wiadomości SMS dzięki systemowi wzorców opracowanemu przez CERT. To ogromna liczba, ale trzeba pamiętać, że wiele kampanii wciąż prześlizguje się przez filtry, stosując błędy ortograficzne czy nietypowe znaki, by zmylić automatyczne systemy ochrony.

Inwestycje widma: Orlen, Baltic Pipe i Gaz-System

Jeśli phishing jest atakiem „masowym”, to oszustwa inwestycyjne są wymierzone w nasze marzenia o szybkim zysku i bezpieczeństwie finansowym. To tutaj padają rekordowe kwoty strat. Przestępcy wykorzystują wizerunki największych polskich spółek skarbu państwa, takich jak Orlen, Baltic Pipe czy Gaz-System. Tworzą profesjonalnie wyglądające reklamy w mediach społecznościowych, w których politycy lub znani dziennikarze (często z wykorzystaniem technologii deepfake, czyli sztucznie wygenerowanego głosu i obrazu) zachęcają do zakupu akcji gwarantujących ogromne dywidendy.

Mechanizm jest prosty i psychologicznie dopracowany. Po zostawieniu kontaktu w formularzu, dzwoni do nas „konsultant” lub „analityk giełdowy”. Jest uprzejmy, kompetentny i roztacza wizję bezpiecznego zarobku. Na początku prosi o wpłatę wpisową, np. 800-1000 zł. Następnie pokazuje nam fałszywe wykresy w specjalnej aplikacji, na których widać, jak nasze pieniądze „pracują”. To zachęca ofiary do wpłacania kolejnych, znacznie większych sum. Policja regularnie informuje o osobach, które straciły w ten sposób oszczędności całego życia. Przykład? 76-latek z zamojszczyzny, który uwierzył w akcje Baltic Pipe i stracił ponad 200 000 złotych. Często w takich przypadkach oszuści nakłaniają też do instalacji oprogramowania do zdalnego pulpitu (np. AnyDesk), co daje im pełną kontrolę nad komputerem i bankowością ofiary.

Pułapki na portalach sprzedażowych: OLX i Vinted

Kolejnym frontem walki są portale ogłoszeniowe. Tutaj ofiarami padają nie tylko kupujący, ale przede wszystkim sprzedający. Scenariusz jest zazwyczaj taki: wystawiasz przedmiot na OLX lub Vinted, a po kilku minutach na WhatsAppie odzywa się zainteresowany „kupiec”. Twierdzi, że już zapłacił i przesyła link, przez który rzekomo masz odebrać pieniądze.

Link prowadzi do fałszywej strony udającej panel kuriera lub samego portalu aukcyjnego. Znajduje się tam formularz z prośbą o podanie danych karty płatniczej (łącznie z kodem CVV) lub danych do logowania do banku. Pamiętajmy o jednej, żelaznej zasadzie: do odebrania pieniędzy za sprzedany towar nigdy nie jest potrzebne podawanie danych karty ani logowanie się do banku przez linki z zewnątrz. Pieniądze powinny wpłynąć bezpośrednio na Twoje konto lub do portfela wewnątrz aplikacji portalu. Według danych za 2024 rok, sam wizerunek OLX został wykorzystany w blisko 10 tysiącach zarejestrowanych incydentów.

Oszustwo „na Blika” i socjotechnika na Facebooku

Blik zrewolucjonizował płatności w Polsce, ale stał się też ulubionym narzędziem oszustów. Najpopularniejszy schemat to przejęcie konta na Facebooku. Przestępca loguje się na profil Twojego znajomego i wysyła do Ciebie wiadomość: „Cześć, słuchaj, mam problem w sklepie, a zapomniałem portfela. Podasz mi kod Blik? Oddam wieczorem”.

Ponieważ wiadomość pochodzi od kogoś, kogo znamy i lubimy, często działamy pod wpływem impulsu. Podajemy kod, zatwierdzamy transakcję w aplikacji bankowej i… pieniądze znikają. Oszust zazwyczaj stoi w tym momencie przy bankomacie i wypłaca gotówkę, której nie da się już odzyskać. Dlatego zawsze, ale to zawsze, gdy ktoś prosi Cię o pieniądze przez komunikator, zadzwoń do tej osoby i upewnij się, że to faktycznie ona. Jedna minuta rozmowy może uratować Twoje finanse.

Spoofing telefoniczny, czyli kiedy dzwoni „Twój bank”

To jedna z najbardziej wyrafinowanych metod. Spoofing polega na tym, że przestępca potrafi podszyć się pod dowolny numer telefonu. Na ekranie Twojego smartfona może wyświetlić się napis „Infolinia Banku X” lub „Policja”, mimo że dzwoniący siedzi w zupełnie innym miejscu.

Oszust podaje się za pracownika działu bezpieczeństwa i informuje, że Twoje konto zostało zaatakowane, a pieniądze są zagrożone. Aby je „uratować”, musisz przelać je na tzw. konto techniczne lub podać kody Blik. Pamiętaj: pracownik banku nigdy nie poprosi Cię o przelanie pieniędzy na inne konto ani o podanie hasła do logowania. Jeśli masz jakiekolwiek wątpliwości, rozłącz się i sam zadzwoń na oficjalną infolinię banku, wybierając numer ręcznie na klawiaturze.

Jak nie dać się złapać? Praktyczny dekalog bezpieczeństwa

Walka z cyberprzestępcami przypomina wyścig zbrojeń, ale jako użytkownicy nie jesteśmy bezbronni. Oto kilka prostych kroków, które drastycznie zwiększają Twoje bezpieczeństwo:

• Używaj weryfikacji dwuetapowej (2FA) wszędzie, gdzie to możliwe – na poczcie e-mail, Facebooku i w bankowości. Nawet jeśli oszust pozna Twoje hasło, nie wejdzie na konto bez drugiego składnika (np. kodu z aplikacji).
• Zgłaszaj podejrzane SMS-y. W Polsce działa specjalny, darmowy numer 8080 obsługiwany przez CERT Polska. Wystarczy przekazać tam treść podejrzanej wiadomości.
• Czytaj uważnie powiadomienia z banku. Zanim zatwierdzisz transakcję Blik lub przelew, sprawdź kwotę i odbiorcę. Czy to na pewno ta operacja, którą chciałeś wykonać?
• Nie instaluj aplikacji na prośbę osób trzecich. Żaden bank ani policjant nie będzie wymagał od Ciebie zainstalowania AnyDesk czy TeamViewera do „ochrony konta”.
• Sprawdzaj adresy URL. Złodzieje tworzą strony typu „pay-u-pl.com” zamiast „payu.pl”. Jedna literka robi kolosalną różnicę.

Internet to wspaniałe narzędzie, ale wymaga od nas ograniczonego zaufania. Przestępcy żerują na naszych emocjach: strachu (odłączą prąd!), pośpiechu (paczka czeka!) lub chciwości (zarób miliony!). Jeśli nauczymy się brać głęboki oddech przed każdym kliknięciem w link, większość tych ataków stanie się po prostu nieskuteczna. Bezpieczeństwo w sieci zaczyna się od naszej świadomości, a dane z ostatnich raportów są jasnym sygnałem, że czas na edukację cyfrową najwyższej próby.